授予 Lightsail 容器服務存取 Amazon ECR 私有儲存庫

登入主 Li ghtsail 台。

在 Lightsail 首頁，選擇 Containers (容器) 索引標籤。

選擇想要為其設定對 Amazon ECR 私有儲存庫存取權的容器服務名稱。

選擇 Images (映像) 索引標籤。

選擇新增儲存庫以授予容器服務對於 Amazon ECR 私有儲存庫的存取權。

在顯示的下拉式選單中，選擇要存取的私有儲存器，然後選擇 Add (新增)。

Lightsail 需要一些時間來為您的容器服務啟動 Amazon ECR 映像拉拔器 IAM 角色，其中包括主要的 Amazon 資源名稱 (ARN)。然後，Lightsail 會自動將 IAM 角色主體 ARN 新增至您所選取之 Amazon ECR 私有儲存庫的許可政策。這將授予容器服務對私有儲存庫及其映像的存取權。強制回應視窗出現並表明程序已完成且您可以選擇 Continue (繼續) 之前，請勿關閉瀏覽器視窗。

啟用完成後，請選擇 Continue (繼續)。

新增選取的 Amazon ECR 私有儲存庫後，它會列於頁面的 Amazon ECR 私有儲存庫區段。此頁面包含如何將映像從私人存放庫部署至 Lightsail 容器服務的指示。若要使用私有儲存器中的映像，請指定建立容器服務部署時頁面上顯示為 Image (映像) 值的 URI 格式。在指定的 URI 中，請將範例 {image tag} 取代為您要部署的映像標籤。如需詳細資訊，請參閱建立和管理容器服務部署。

開啟命令提示或終端機視窗。

輸入以下命令，以更新容器服務並啟用或停用 Amazon ECR 映像 puller IAM 角色。

aws lightsail update-container-service --service-name ContainerServiceName --private-registry-access ecrImagePullerRole={isActive=RoleActivationState} --region AwsRegionCode

將命令中的以下範例文字取代為自訂文字：

範例：

如果您：

輸入下列命令，以取得容器服務的 Amazon ECR 映像 puller IAM 角色主體 ARN。

aws lightsail get-container-services --service-name ContainerServiceName --region AwsRegionCode

將命令中的以下範例文字取代為自訂文字：

範例：

aws lightsail get-container-services --service-name my-container-service --region us-east-1

尋找回應中的 ECR 映像 puller IAM 角色主體 ARN。如果列出了某個角色，請複製該角色或將其寫下。本指南的下一節會用到該角色。接下來，需要判定您想要容器服務存取的 Amazon ECR 私有儲存庫上是否具有現有政策陳述式。繼續按本指南中的判定 Amazon ECR 私有儲存庫是否具有政策陳述式章節進行操作。

開啟命令提示或終端機視窗。

輸入下列命令，以取得特定私有儲存庫的政策陳述式。

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

將命令中的以下範例文字取代為自訂文字：

範例：

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

您應該會看到下列其中一個回應：

開啟文字編輯器，並將下列政策陳述式貼入新的文字檔案。

{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

在文字中，請以本指南稍早取IamRolePrincipalArn得的容器服務的 Amazon ECR 影像拉出器 IAM 角色主體 ARN 取代。

將檔案另存為 ecr-policy.json 並儲存在電腦上可存取的位置 (例如 Windows 上的 C:\Temp\ecr-policy.json，或 macOS 或 Linux 上的 /tmp/ecr-policy.json)。

記下所建立的 ecr-policy.json 檔案的檔案路徑位置。此程序後續的命令中，會需要您指定路徑位置。

開啟命令提示或終端機視窗。

輸入下列命令，以設定您想要容器服務存取的私有儲存庫的政策陳述式。

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

將命令中的以下範例文字取代為自訂文字：

範例：

您的容器服務現在可以存取私有儲存庫及其映像。若要使用儲存庫中的映像，請將以下 URI 指定為容器服務部署的 Image (映像) 值。在 URI 中，請將範例標籤取代為您要部署的映像標籤。如需詳細資訊，請參閱建立和管理容器服務部署。

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

將 URI 中的以下範例文字取代為自訂文字：

範例：

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage

開啟命令提示或終端機視窗。

輸入下列命令，以取得特定私有儲存庫的政策陳述式。

aws ecr get-repository-policy --repository-name RepositoryName --region AwsRegionCode

將命令中的以下範例文字取代為自訂文字：

範例：

aws ecr get-repository-policy --repository-name my-private-repo --region us-east-1

請複製回應中的現有政策並繼續下一個步驟。

您應該僅複製出現在雙引號之間的 policyText 內容，也就是以下範例中反白顯示的內容。

開啟文字編輯器，並貼上您在先前步驟中複製的私有儲存庫現有政策。

結果應如下列範例所示。

在貼上的文字中，將 \n 取代為分行符號，然後刪除剩餘的 \。

結果應如下列範例所示。

在文字檔案的結尾貼上下列政策陳述式。

,
{ 
  "Version": "2008-10-17",
  "Statement": [
  {
      "Sid": "AllowLightsailPull-ecr-private-repo-demo",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IamRolePrincipalArn"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

在文字中，請以本指南稍早取IamRolePrincipalArn得的容器服務的 Amazon ECR 影像拉出器 IAM 角色主體 ARN 取代。

結果應如下列範例所示。

將檔案另存為 ecr-policy.json 並儲存在電腦上可存取的位置 (例如 Windows 上的 C:\Temp\ecr-policy.json，或 macOS 或 Linux 上的 /tmp/ecr-policy.json)。

記下 ecr-policy.json 檔案的檔案路徑位置。此程序後續的命令中，會需要您指定路徑位置。

開啟命令提示或終端機視窗。

輸入下列命令，以設定您想要容器服務存取的私有儲存庫的政策陳述式。

aws ecr set-repository-policy --repository-name RepositoryName --policy-text file://path/to/ecr-policy.json --region AwsRegionCode

將命令中的以下範例文字取代為自訂文字：

範例：

您應該會看到類似於以下範例的回應。

如果再次執行 get-repository-policy 命令，您應該會在私有儲存庫上看到新的附加政策陳述式。您的容器服務現在可以存取私有儲存庫及其映像。若要使用儲存庫中的映像，請將以下 URI 指定為容器服務部署的 Image (映像) 值。在 URI 中，請將範例標籤取代為您要部署的映像標籤。如需詳細資訊，請參閱建立和管理容器服務部署。

AwsAccountId.dkr.ecr.AwsRegionCode.amazonaws.com/RepositoryName:ImageTag

將 URI 中的以下範例文字取代為自訂文字：

範例：

111122223333.dkr.ecr.us-east-1.amazonaws.com/my-private-repo:myappimage